Joomla iProperty Real Estate 4.1.1 contient une vulnérabilité de cross-site scripting (XSS) de type reflet qui permet aux attaquants d'injecter des scripts malveillants en manipulant le paramètre filter_keyword. Les attaquants peuvent créer des URL contenant des charges utiles JavaScript dans le paramètre GET filter_keyword de l'endpoint all-properties-with-map pour exécuter du code arbitraire dans les navigateurs des victimes et voler des jetons de session ou des informations d'identification.

La vulnérabilité CVE-2023-54361 dans Joomla iProperty Real Estate 4.1.1 représente un risque de sécurité significatif en raison d'une faille de Cross-Site Scripting (XSS) réfléchie. Cette vulnérabilité permet aux attaquants d'injecter du code JavaScript malveillant dans le site web en manipulant le paramètre filter_keyword dans l'URL de l'endpoint all-properties-with-map. Si un utilisateur visite une URL malveillante, le script injecté sera exécuté dans son navigateur, ce qui pourrait entraîner le vol de cookies de session, la compromission des identifiants de connexion ou même le contrôle du navigateur de l'utilisateur. Le score CVSS de 6.1 indique un risque modéré, mais le potentiel d'exploitation en fait une préoccupation sérieuse pour les sites web utilisant cette extension Joomla. L'absence de correctif officiel disponible aggrave la situation, nécessitant des mesures préventives immédiates.

Websites using Joomla iProperty Real Estate version 4.1.1 are at risk. Specifically, sites that rely on user-supplied input within the filter_keyword parameter without proper sanitization are particularly vulnerable. Shared hosting environments where multiple websites share the same server resources are also at increased risk, as a compromise of one site could potentially lead to the compromise of others.

• joomla / server:

grep -r 'filter_keyword=[^&]*' /var/log/apache2/access.log | grep -i 'javascript:'

• generic web:

curl -I 'https://example.com/all-properties-with-map?filter_keyword=<script>alert(1)</script>' | grep 'Content-Type:'

1. 2026-04-09Disclosure

   disclosure

1. Réservé2026-04-09
2. Publiée2026-04-09
3. Modifiée2026-04-15
4. EPSS mis à jour2026-04-17

Étant donné qu'il n'existe pas de correctif officiel pour CVE-2023-54361, l'atténuation se concentre sur les mesures préventives et de détection. Il est fortement recommandé de mettre à jour vers la dernière version disponible de Joomla et de l'extension iProperty Real Estate dès qu'elle est disponible. De plus, la mise en œuvre d'une validation et d'une désinfection robustes de toutes les entrées utilisateur, en particulier les paramètres d'URL, peut aider à prévenir l'injection de code malveillant. La surveillance des journaux du serveur à la recherche de modèles suspects, tels que des URL avec des caractères inhabituels dans le paramètre filter_keyword, peut aider à détecter les tentatives d'exploitation. Envisagez d'utiliser un pare-feu d'application web (WAF) pour filtrer le trafic malveillant et bloquer les requêtes contenant du code JavaScript suspect.